本文适合正在查看订阅节点名称、手动添加服务器或排查协议兼容问题的用户。重点区分代理协议、传输方式和安全层三个概念，并给出 VMess、VLESS、Trojan、Shadowsocks 的配置判断顺序、同环境测试数据与客户端选择方法。
先分清协议、传输与安全层
节点名称里经常同时出现 VLESS、TCP、WebSocket、gRPC、TLS、Reality 等词。它们不处于同一层。VLESS 是代理协议，TCP、WebSocket 和 gRPC 是承载数据的传输方式，TLS 与 Reality 则负责连接安全或服务端身份验证。只看协议名称，不能直接判断速度、稳定性或可用性。
VMess、VLESS、Trojan 与 Shadowsocks 主要规定客户端如何认证、如何封装代理请求，以及数据如何交给底层连接。实际链路还会受到域名解析、服务器负载、往返延迟、丢包率、拥塞控制和传输组合影响。相同协议放在不同线路上，结果可能相差数倍。
例如“VLESS + TCP + TLS”与“VLESS + gRPC + TLS”使用同一种代理协议，但连接建立步骤和数据分帧方式不同。“VMess + WebSocket + TLS”与“VLESS + WebSocket + TLS”则共享传输与安全层，只在认证和协议封装部分存在区别。
- 代理协议：VMess、VLESS、Trojan、Shadowsocks，负责认证和代理请求封装。
- 传输方式：TCP、WebSocket、gRPC 等，决定数据如何在连接中承载。
- 安全层：TLS、Reality 或协议自身的加密机制，负责加密与身份验证。
- 路由层：客户端的域名、IP、进程与端口规则，决定流量是否进入某个出站。
四种协议的核心差异
VMess 带有自己的用户认证与数据加密设计。现代配置通常使用 AEAD 认证，旧配置中的 alterId 已逐步退出常用场景，导入时一般应看到 alterId 为 0。VMess 认证依赖时间，客户端系统时间明显偏离时，可能出现服务器可连接但认证持续失败的情况。
VLESS 采用较轻的认证与封装方式，本身不承担完整的数据加密职责。它通常与 TLS 或 Reality 组合使用。VLESS 的优势是协议层更精简，并且能够配合 Xray 内核中的特定流控功能。若节点设置了 flow，客户端必须原样导入；随意删除 `xtls-rprx-vision` 可能直接导致连接失败。
Trojan 使用密码完成认证，并把代理数据放在 TLS 连接中。其配置重点通常是服务器域名、端口、密码、SNI 和证书验证。连接目标写成 IP、SNI 却留空时，证书名称不匹配是常见故障。关闭证书验证只能用于定位问题，不应作为长期修复办法。
Shadowsocks 的结构相对直接，由服务器地址、端口、密码和加密方法构成。传统 AEAD 方法常见 `aes-128-gcm`、`aes-256-gcm` 与 `chacha20-poly1305`。客户端与服务端的 method 必须完全一致，字符大小写、连字符或密码任一处错误都会造成握手失败。
| 协议 | 认证与加密重点 | 常见组合 | 配置敏感项 |
|---|---|---|---|
| VMess | UUID 认证，协议层提供数据加密与认证机制 | TCP、WebSocket 或 gRPC，可叠加 TLS | UUID、alterId、security、系统时间 |
| VLESS | UUID 认证，通常依赖 TLS 或 Reality 提供安全层 | TCP + TLS、TCP + Reality、gRPC + TLS | UUID、flow、SNI、public key、short ID |
| Trojan | 密码认证，依赖 TLS 加密连接 | TCP + TLS，也可承载于其他受支持传输 | password、SNI、证书域名、ALPN |
| Shadowsocks | 密码与指定加密方法共同生效 | 通常直接运行于 TCP 与 UDP | method、password、端口、UDP 支持 |
结论:节点字段必须整组核对
协议名称只决定第一组字段。真正影响能否连接的通常是传输与安全层组合。订阅导入后先对照 network、security、SNI、Host、path 和 flow，比反复切换系统代理模式更有效。
握手开销与速度测试怎么看
协议开销不能脱离传输组合比较。VMess 经 WebSocket 与 TLS 建立连接时，需要完成 TCP、TLS、HTTP 升级和协议认证；VLESS 经普通 TCP 与 TLS 时没有 WebSocket 升级步骤。若直接拿两者测速，差异实际上同时来自传输层与协议层。
下面是一组固定环境下的观察值：客户端到服务器基础往返延迟为 42 毫秒，线路限速 100 Mbps，测试文件为 256 MB，每组执行 20 次新连接并取中位数。服务器位置、负载和出口保持不变。数字用于说明组合差异，不代表所有节点都能复现。
| 测试组合 | 新连接中位耗时 | 下载平均值 | 主要额外步骤 |
|---|---|---|---|
| VMess + WebSocket + TLS | 121 ms | 86.7 Mbps | TLS 与 WebSocket 升级 |
| VLESS + TCP + TLS | 84 ms | 91.8 Mbps | TLS 握手 |
| Trojan + TCP + TLS | 87 ms | 90.6 Mbps | TLS 握手与密码认证 |
| Shadowsocks + TCP | 59 ms | 93.1 Mbps | 协议认证与加密初始化 |
结论:日常选择先看线路质量
这组测试里连接建立耗时相差 62 毫秒，但持续下载最大差距只有 6.4 Mbps。网页首开更容易感知握手与丢包，长时间下载则主要受线路容量和服务器负载限制。
如果要在自己的节点上对照，测试前应固定服务器、目标网站、客户端内核和路由规则。先执行 10 至 20 次真连接延迟，再连续下载同一文件。只比较一次延迟或只看节点名称旁的数值，容易把 DNS 缓存和瞬时拥塞当成协议差异。
v2rayN、v2rayNG 与 v2flyNG 的支持区别
客户端界面能显示节点，不等于当前内核可以运行全部字段。v2rayN 桌面端通常可以在参数设置中选择或管理核心。v2rayNG 使用 Xray 内核时，可以处理常见 VMess、VLESS、Trojan 和 Shadowsocks 配置，并支持由对应内核实现的 Reality 与 Vision 组合。
v2flyNG 使用 v2fly 内核，适合使用 VMess、常规 VLESS、Trojan 与 Shadowsocks 配置。若订阅包含 Xray 特有的 Reality 参数或特定 flow，应先确认内核实现，而不是仅检查应用能否读出节点名称。导入过程保留字段，也不代表启动时不会报告“不支持的配置”。
- 在 v2rayN 打开“设置”→“参数设置”，检查当前 Core 类型与本地监听端口。
- 双击服务器记录，核对地址、端口、用户 ID 或密码，避免只看备注名称。
- 继续检查传输协议。WebSocket 需要核对 Host 与 path，gRPC 需要核对 serviceName。
- 启用 TLS 时检查 SNI。使用 Reality 时还要核对 public key、short ID 与 fingerprint。
- 保存后查看日志，再执行真连接延迟测试。日志中的认证、证书和超时信息比单次测速数字更适合定位问题。
| 客户端 | 常规四协议 | 需要额外确认的配置 |
|---|---|---|
| v2rayN | 可按当前所选内核处理 | Core 类型、Reality、flow、传输字段 |
| v2rayNG | 使用 Xray 内核时覆盖常见配置 | 应用版本、Reality 参数、VPN 服务权限 |
| v2flyNG | 由 v2fly 内核处理常规配置 | Xray 特有安全层与流控字段 |
按使用场景选择协议
没有一种协议能在所有线路和服务器上同时取得最低延迟、最高吞吐与最少配置项。已有订阅时，优先从服务端实际提供的节点中选择，不要自行把 VMess 改成 VLESS，也不要给 Shadowsocks 节点补上 TLS。协议切换要求服务端存在对应入站配置。
日常网页与视频场景可以先选择线路稳定、真连接延迟低且丢包少的节点。在条件接近时，再比较协议组合。需要 Reality 或 Vision 时优先使用带 Xray 内核的客户端；需要兼容较早的订阅字段时，可以保留 VMess 节点作为备用。
VMess
配置生态成熟，常见于既有订阅，WebSocket 与 TLS 组合较多。需要注意系统时间、UUID 与旧 alterId 字段。
适合:已有 VMess 节点、旧订阅兼容与备用线路
VLESS
推荐协议封装较轻，可与 TLS、Reality 和特定流控组合。字段完整且内核匹配时，适合作为现代配置的日常主力。
适合:使用 Xray 内核、需要 Reality 或 Vision 的配置
Trojan
以密码认证并依赖 TLS，配置重点集中在域名、SNI 与证书验证。服务端证书配置正确时，客户端字段较容易核对。
适合:已有域名与 TLS 配置、偏好明确认证字段
Shadowsocks
参数数量较少，TCP 与 UDP 支持清晰。服务端和客户端必须使用相同的密码与加密方法。
适合:简单代理链路、低配置复杂度与 UDP 需求
- 网页首开慢：先比较真连接延迟、DNS 与丢包，不要只按协议排序。
- 大文件速度低：检查服务器带宽、出口拥塞和路由绕行，协议开销通常不是唯一原因。
- 移动网络频繁切换：重新执行连接测试，旧连接失效不代表节点配置错误。
- 订阅同时提供多种协议：保留两种不同组合，主节点异常时可以快速区分线路故障与协议兼容问题。
结论:主节点与备用节点使用不同组合
主节点可选 VLESS 配合匹配的安全层，备用节点保留 VMess、Trojan 或 Shadowsocks 中的一种。两条节点不要只改备注名称，应确认它们的协议、传输或服务器线路确实不同。
常见配置问题
四种协议的故障表现可能很相似：延迟测试超时、核心反复重启、系统代理开启后网页无法加载。排查时应从日志中的第一条错误开始，不要连续修改多个字段。一次只改一个参数，保存并重启核心，才能确认问题来源。
VMess 节点导入后一直超时?
先将电脑或安卓设备的日期、时间和时区设为自动，再核对 UUID 与 alterId。现代 AEAD 配置通常使用 alterId 0。若偏差接近或超过 120 秒，先修正系统时间再重新测试。
VLESS 显示已连接但没有流量?
打开核心日志，检查 flow、security 和 network。Reality 配置还需逐项核对 SNI、public key、short ID 与 fingerprint；这些字段缺失时，系统代理状态正常也无法完成连接。
Trojan 提示证书名称不匹配?
检查节点的服务器名称与 SNI。连接地址可以是 IP，但 SNI 通常需要填写证书覆盖的域名。确认设备时间正确，并检查订阅是否在复制时丢失 serverName 字段。
Shadowsocks 能连 TCP，但应用里的 UDP 不通?
先确认服务端已启用 UDP，再检查客户端节点设置与路由出站是否允许 UDP。method 和 password 必须与服务端一致；只开启系统 HTTP 代理也不能覆盖所有 UDP 流量。
同一节点在 v2rayNG 可用，换到 v2flyNG 后失败?
对照节点是否包含 Reality、Vision 或其他特定内核字段。普通分享链接被成功识别只说明格式已解析，应继续查看启动日志，并选择与服务端配置匹配的内核和客户端。
协议选择结论
VMess 适合兼容已有订阅与成熟配置；VLESS 适合配合 TLS、Reality 和现代 Xray 功能；Trojan 的关键是密码、域名与 TLS 设置一致；Shadowsocks 参数直接，适合结构简单的 TCP 与 UDP 代理需求。四者的区别主要落在认证、加密职责、传输组合和内核支持，而不是单一的速度排名。
选择节点时，先看客户端是否支持完整字段，再看线路延迟与丢包，最后比较协议开销。节点可以稳定建立连接、日志没有持续错误、常用网站加载正常，通常比协议名称是否更新更重要。
- 订阅导入后先保留原始字段，不手动改协议类型。
- 使用真连接延迟，不把 TCP 探测结果当作完整可用性判断。
- 选择一条日常主节点，再保留一条不同协议或不同线路的备用节点。
- 遇到故障先看核心日志，并按认证、传输、安全层、路由的顺序检查。